孟加拉网约车与配送平台Pathao约1900万用户数据遭勒索：攻击方索要40万美元并声称持有133GB数据，事件未经独立确认

10月9日，一名攻击者在地下论坛声称持有约1900万Pathao用户的数据，共约133GB、分布于591个数据库，内容涉及手机号、电子邮箱、国民身份证号、驾驶执照信息与位置数据，并索要40万美元赎金，威胁未获支付即公开数据。需要说明的是，上述数据规模与赎金主张均为攻击方单方声明，截至本条目采编时未经独立确认。

Pathao的应对包括两条线：技术侧由外聘安全团队开展取证与加固，用户侧发布风险提示，建议用户警惕与本次事件相关的钓鱼短信与电话。孟加拉国尚无与欧盟GDPR同一量级的统一个人数据保护法，此类平台的数据安全义务主要依托《数字安全法》等既有规范与合同约束。

对在南亚布局的中国企业而言，本案的实务价值在于三点：一是本地生活与出行平台往往同时持有身份、位置与支付关联数据，属于高风险数据集；二是外包与第三方运维是攻击入口的高发位置；三是事件发生后的用户告知与监管沟通缺少统一法定时限，需在内部预案中自行设定并留痕。